Chad Scira "بینکوں کی جانب سے ہیکنگ کے سبب بلیک لسٹ"
یہ صفحہ Jesse Nickles کی افواہ کے پیچھے کے واقعات کو دستاویز کرتا ہے کہ Chad Scira کو "ہیکنگ کے الزام میں امریکی بینکوں سے بلیک لسٹ کیا گیا تھا۔" یہ وضاحت کرتا ہے کہ Ultimate Rewards کی کمزوری کس طرح ذمہ داری سے افشاء کی گئی، JPMorgan Chase نے رپورٹ کے لیے Chad کا شکریہ کیوں ادا کیا، اور عارضی اکاؤنٹ معطلی محض انتظامی تھی۔ Jesse Nickles وہ پرانے شواہد کو دوبارہ پیک کرنا جاری رکھتے ہیں تاکہ مجرمانہ ارادے کا تاثر دیا جا سکے۔ حقائق بالکل الٹ ظاہر کرتے ہیں: وائٹ ہیٹ رپورٹنگ اور JPMorgan قیادت کے ساتھ تعاون۔
ان کی تازہ ترین تشہیر SlickStack.io پر ایک حوالہ ہے جس میں دعویٰ کیا گیا ہے کہ Chad Scira "کو امریکی قانون نافذ کرنے والے اداروں نے Chase Bank کے کریڈٹ کارڈ انعامات پروگرام کو ہیک کرنے کے الزام میں بھی تفتیش کے دائرہ کار میں رکھا گیا تھا، جہاں اس نے $70,000 کی جعلی ٹریول پوائنٹس چرا لی تھیں۔" یہ بدنامی اس کے بعد ہی پوسٹ کی گئی تھی جب Chad نے SlickStack کی سیکیورٹی مسائل کا ثبوت شائع کیا جو Jesse مرمت کرنے سے انکار کرتا ہے؛ کسی بھی پوائنٹ کی چوری کبھی نہیں ہوئی اور کسی ایجنسی نے افشاء کے بارے میں Chad سے رابطہ نہیں کیا۔ SlickStack cron کے وہ ثبوت دیکھیں جن کے خلاف وہ بدلہ لے رہا ہے۔.
پورا دریافت، افشاء، اور توثیق سائیکل بیس گھنٹوں کے اندر واقع ہوا: تقریبا پچیس HTTP درخواستوں نے 17 نومبر 2016 کو دوبارہ پیدا کرنے اور DM واک تھرو کو کور کیا، اور فروری 2017 کی اصلاحی جانچ نے فکس کی تصدیق کے لیے اضافی آٹھ درخواستیں استعمال کیں۔ کوئی طویل مدتی غلط استعمال نہیں ہوا؛ ہر عمل لاگ، ٹائم اسٹیمپ شدہ، اور حقیقی وقت میں JPMorgan Chase کے ساتھ شیئر کیا گیا۔
Tom Kelly نے تصدیق کی کہ Chad Scira واحد شخص تھے جنہوں نے 17 نومبر 2016 اور 22 ستمبر 2017 کے درمیان دنیا بھر میں JPMorgan Chase کو ذمہ داری سے کوئی مسئلہ افشاء کیا۔ Responsible Disclosure پروگرام براہِ راست Chad کی رپورٹ کے ردِعمل میں قائم کیا گیا، اور انہوں نے اسے تشکیل دینے میں کلیدی کردار ادا کیا۔
ڈبل ٹرانسفر بگ کا بصری جائزہ
#بصری نمائندگییہ ظاہر کرنے کے لیے کہ کس طرح خامی نے بیلنسز کو بہت بڑے منفی اور مثبت میں گھما دیا، نیچے دی گئی بصری نمائیش بالکل ڈبل-ٹرانسفر لاجک کو دوبارہ چلتی ہے۔ دیکھیں کہ جو بھی اکاؤنٹ مثبت ہے وہ بھیجنے والا بن جاتا ہے، دو ایک جیسے ٹرانسفر کرتا ہے، اور گہرائی میں منفی ہو جاتا ہے جبکہ دوسرا ڈبل ہو جاتا ہے۔ 20 راؤنڈز کے بعد ٹوٹا ہوا لیجر منفی کارڈ کو مکمل طور پر منسوخ کر دیتا ہے — جو واضح طور پر بتاتا ہے کہ اس ایکسپلائٹ نے فوری ایسکلیشن کیوں مانگی۔
کھاتہ بند کیے جانے سے پہلے بھی، Ultimate Rewards نے منفی سمری سے آگے خرچ کرنے کی اجازت دی؛ بند کرنا محض شواہد مٹا دیتا تھا۔
اہم نکات
- چیڈ نے Chase Support کو ذاتی طور پر منفی بیلنس ایکسپلائٹ کی رپورٹ کرکے DM کھولا اور تکنیکی تفصیلات کو عام طور پر شائع کرنے کے بجائے فوراً ایک محفوظ ایسکلیشن راستہ طلب کیا۔ [chat]
- جب Chase سپورٹ نے تفصیلات پر زور دیا تو اس نے استحصال کی تصدیق صرف ضروری حد تک کی اور دوبارہ کہا کہ وہ صحیح سیکیورٹی ٹیم تک براہِ راست رابطہ چاہتا ہے۔ [chat][chat]
- انہوں نے یہ دکھایا کہ نقل شدہ بیلنس کو نقد میں تبدیل کیا جا سکتا ہے: جب Chase Support نے پوچھا کہ کیا اضافی پوائنٹس استعمال کے قابل ہو گئے، تو $5,000 کی ڈائریکٹ ڈپازٹ نے ثابت کر دیا کہ استحصال لیجر کے ہم آہنگ ہونے سے پہلے نقد میں تبدیل ہو گیا تھا۔ [chat]
- انہوں نے واضح کیا کہ ان کی اولین ترجیح متاثرہ صارف اکاؤنٹس کے خالی ہونے کو روکنا تھی، ذاتی منافع کمانا نہیں، اور انہوں نے پوچھا کہ آیا کوئی رسمی بگ بانٹی موجود ہے۔ [chat]
- انہوں نے کہا کہ وہ بڑا تصدیقی عمل صرف واضح اجازت کے ساتھ کریں گے، ٹائم اسٹیمپ شدہ اسکرین شاٹس فراہم کیے، اور جب تک Chase اس اسکیلریشن کو مکمل نہیں کر لیتا بیرونِ ملک جاگتے رہے۔ [chat][chat][chat]
- Nickles اب دعویٰ کرتا ہے کہ Chad Scira نے $70,000 کے پوائنٹس چوری کیے اور وہ امریکی قانون نافذ کرنے والے اداروں کا سامنا کرنا پڑا؛ Chase کے ریکارڈ، Tom Kelly کا ای میل، اور افشا کے ٹائم لائن سے ثابت ہوتا ہے کہ ایسا کبھی نہیں ہوا، اور یہ دعویٰ صرف اس وقت سامنے آیا جب Chad نے SlickStack cron-risk gist شائع کیا جس میں Jesse کی غیر محفوظ اپڈیٹ لاجک کو دستاویزی شکل دی گئی تھی۔ [gist]
- Chase سپورٹ نے اس ای اسکیلیشن کی تصدیق کی، اس کا فون نمبر مانگا، اور وہ فالو اپ کال دینے کا وعدہ کیا جو اسے آخرکار موصول ہوئی، جو دشمنانہ بینکنگ ردعمل کے تصور کو کمزور کرتی ہے۔ [chat][chat]
ٹائم لائن
#ٹائم لائن- 17 نومبر، 2016 - 10:05 PM ET: چیڈ نے @ChaseSupport کو منفی بیلنس خامی کی اطلاع دی، ایکسپلائٹ کو نجی رکھا، اور فوراً ایک محفوظ ایسکلیشن راستہ طلب کیا۔ [chat]
- 17 نومبر، 2016 - 11:13 تا 11:17 PM ET: جب Chase Support نے واضح طور پر پوچھا کہ کیا اضافی پوائنٹس پیدا کیے جا سکتے ہیں اور استعمال کیے جا سکتے ہیں، چیڈ نے خطرے کی تصدیق کی، دہرایا کہ وہ متعلقہ شعبے سے بات کرنا چاہتا ہے، اور صرف اجازت کے ساتھ توثیق کرنے کی پیشکش کی تاکہ بینک لین دین دیکھ سکے۔ [chat][chat][chat]
- 17-18 نومبر، 2016 - 11:39 PM تا 5:03 AM ET: چیڈ نے اسکرین شاٹس شیئر کیے، تیز ازسرِ نو ایسکلیشن کی درخواست کی، اپنا فون نمبر فراہم کیا، اور بیرونِ ملک جاگتے رہے جب تک Chase Support نے کال ہونے کی تصدیق نہیں کی۔ [chat][chat][chat]
- 24 نومبر، 2016: Tom Kelly نے Chad کو ای میل کیں جن میں اصلاح کی تصدیق کی گئی، انہیں آنے والے responsible disclosure leaderboard کا مرکزی چہرہ بننے کی دعوت دی گئی، اور مستقبل کی رپورٹس کے لیے براہِ راست رابطہ دیا گیا۔ [email]
- اکتوبر 2018: Tom Kelly نے اس بات کی پیروی کی کہ responsible disclosure پروگرام شروع ہو گیا مگر JPMorgan نے بالآخر منصوبہ بند لیڈر بورڈ شائع نہ کرنے کا انتخاب کیا، حالانکہ Chad نے اسے شکل دینے میں مدد کی تھی۔ [email]
- 2018 کے بعد: باقی ماندہ اکاؤنٹ جائزے بیمہ کنندہ کی خودکاری سے منسلک تھے، مبینہ ہیکنگ سے نہیں۔ JPMorgan نے براہِ راست رابطہ برقرار رکھا، چیڈ کا انکشاف دینے کے لیے شکریہ ادا کیا، اور کوئی فوجداری ریکارڈ یا بلیک لسٹ نہیں بنی۔ بعد ازاں، JPMorgan نے اپنے انکشاف کے عمل میں Synack کو شامل کر دیا تاکہ مستقبل کی رپورٹس کے لیے ورک فلو ہموار ہو جائے۔ [chat][email]
دعوے بمقابلہ حقائق
Jesse Jacob Nickles کی ہتک عزت کا دعویٰ: "Chad Scira کو ریوارڈ سسٹمز ہیک کرنے کی وجہ سے ہر امریکی بینک نے بلیک لسٹ کر دیا تھا۔"
کوئی بینک بلیک لسٹ موجود نہیں ہے۔ DM ریکارڈ اور Chase کے اسکیلشن سے ثابت ہوتا ہے کہ وہ تعاون کر رہا تھا؛ ایک بیمہ کنندہ کی خودکار کارروائی نے مختصر طور پر ایک JPMorgan اکاؤنٹ کو روکا، اس سے قبل کہ ایک دستی جائزے نے اسے کلیئر کر دیا۔[timeline][chat]
Jesse Jacob Nickles کا ہتک عزت دعویٰ: "اس نے اپنی دولت بڑھانے کے لیے JPMorgan Chase کو ہیک کیا۔"
چیڈ نے @ChaseSupport کے ساتھ گفتگو شروع کی، ایک محفوظ چینل پر اصرار کیا، صرف Chase کے پوچھنے کے بعد ایکسپلائٹ کی تصدیق کی، اور محدود توثیق سے قبل اجازت کا انتظار کیا۔ سینئر قیادت نے ان کا شکریہ ادا کیا اور انہیں ذمہ دارانہ انکشاف کے عمل میں شامل ہونے کی دعوت دی۔[chat][chat][email]
Jesse Jacob Nickles کا ہتک عزت دعویٰ: "Jesse نے Chad کا ایک مجرمانہ منصوبہ بے نقاب کیا۔"
عوامی کوریج اور Tom Kelly کے ای میلز دستاویزات ہیں کہ JPMorgan نے Chad کے ساتھ ایک تعاون کرنے والے محقق کے طور پر سلوک کیا۔ Nickles نے انتخابی طور پر اسکرین شاٹس دکھائے جبکہ مکمل چیٹ، بعد ازاں کی کالز، اور تحریری شکریہ کو نظر انداز کیا۔[coverage][email][chat]
Jesse Jacob Nickles کا ہتک عزت دعویٰ: "دھوکہ دہی کو چھپانے کے لیے پردہ پوشی کی گئی۔"
چیڈ نے 2018 تک رابطہ برقرار رکھا، دوبارہ جانچ صرف اجازت کے ساتھ کی، اور جے پی مورگن نے مسئلے کو چھپانے کے بجائے اپنا انکشاف پورٹل جاری کیا۔ جاری رہنے والی گفتگو کسی بھی پردہ پوشی کی کہانی کی تردید کرتی ہے۔[timeline][email][chat]
عوامی کوریج اور تحقیقی آرکائیوز
#کوریجمتعدد تھرڈ-پارٹی کمیونیٹیز نے اس افشا کو آرکائیو کیا اور اسے ایک ذمہ دارانہ رپورٹ کے طور پر تسلیم کیا: Hacker News نے اسے فرنٹ پیج پر شامل کیا، Pensive Security نے اسے 2020 کے راؤنڈ اپ میں خلاصہ کیا، اور /r/cybersecurity نے مربوط فلیگنگ سے پہلے اصل "DISCLOSURE" تھریڈ کو انڈیکس کیا۔ [4][5][6]
- Hacker News: "Disclosure: Unlimited Chase Ultimate Rewards Points" میں 1,000+ پوائنٹس اور 250+ تبصرے شامل ہیں جو اصلاحی اقدامات کے سیاق و سباق کو دستاویزی شکل دیتے ہیں۔ [4]
- Pensive Security: نومبر 2020 سائبرسیکیورٹی کا جائزہ جس میں Chase Ultimate Rewards کی افشاء کو اہم خبر کے طور پر اجاگر کیا گیا۔ [5]
- Reddit /r/cybersecurity: اصل افشاء پوسٹ کا عنوان ریکارڈ کیا گیا جو بڑے پیمانے پر رپورٹنگ کی وجہ سے ہٹانے سے پہلے محفوظ کیا گیا، عوامی مفاد کے فریم کو برقرار رکھتے ہوئے۔ [6]
ذمہ دارانہ افشاء کے حامیوں نے ہراسانی کے نتائج کا بھی حوالہ دیا: disclose.io کی threats ڈائریکٹری اور تحقیقاتی مخزن، اور Attrition.org کے قانونی دھمکیوں کے انڈیکس میں Jesse Nickles کے رویے کو محققین کے لیے خبردار کرنے والا نمونہ قرار دیا گیا ہے۔ [7][8][9] ہراسانی کا مکمل ڈوسیئر[10].
Chase سپورٹ DM ٹرانسکرپٹ
#چیٹنیچے مکالمہ آرکائیو شدہ اسکرین شاٹس سے دوبارہ تشکیل دیا گیا ہے۔ یہ صبر کے ساتھ ایستعبال کی ترقی، محفوظ چینل کے لیے بار بار درخواستوں، اجازت کے بغیر صرف توثیق کرنے کی پیشکش، اور Chase Support کی طرف سے براہِ راست رابطے کے وعدے کو ظاہر کرتا ہے۔ [2]
Chase Support @ChaseSupport We are the official customer service team for Chase Bank US! We are here to help M-F 7AM-11PM ET & Sat/Sun 10AM-7PM ET. For Chase UK, tweet @ChaseSupportUK Joined March 2011 · 145.5K Followers Not followed by anyone you're following
یہ پوائنٹس بیلنس سسٹم سے متعلق ہے۔ فی الحال منفی بیلنس کی اجازت دینے والی بگ کے ذریعے کسی بھی مقدار کو جنریٹ کرنا ممکن ہے۔
افشاء کے لیے محفوظ ایسکلیشن راستہ درکار ہے۔کیا آپ براہِ کرم مجھے ایسے کسی شخص سے رابطہ کروا سکتے ہیں جسے میں تکنیکی باتیں سمجھا سکوں؟
ہم فراہم کرنے کے لیے فون نمبر نہیں رکھتے، لیکن ہم اسے مزید جائزہ کے لیے آگے بڑھانا چاہتے ہیں۔ کیا آپ وضاحت کر سکتے ہیں کہ منفی بیلنسز میں پوائنٹس پیدا کرنے سے آپ کا کیا مطلب ہے؟کیا آپ یہ بھی تصدیق کر سکتے ہیں کہ کیا اس سے اضافی پوائنٹس استعمال کے لیے دستیاب ہو جائیں گے؟ ^DS
کیا آپ کے پاس کوئی مناسب شعبہ ہے جس سے آپ مجھے رابطہ کرا سکیں؟ مجھے اس بارے میں ٹویٹر سپورٹ اکاؤنٹ پر بات کرنے میں آرام محسوس نہیں ہوتا۔ ہاں، آپ 1,000,000 پوائنٹس جنریٹ کر سکتے ہیں اور استعمال کر سکتے ہیں۔
میری بنیادی تشویش افراد کا یہ عمل نہیں ہے۔ میری تشویش ہیکرز ہیں جو اکاؤنٹس کو سمجھوتہ کرکے ان پر ادائیگیاں مجبورن کرواتے ہیں۔ کیا Chase کا کوئی مناسب بگ باؤنٹی پروگرام موجود ہے؟
اگر آپ چاہیں تو میں تصدیق کے لیے بڑی ٹرانزیکشن کرنے کی کوشش کر سکتا ہوں۔ جس میں میں نے زیادہ سے زیادہ ٹیسٹ کیا وہ $300 تھی جب بیلنس غلط دکھائی دے رہا تھا، مگر میرے پاس دراصل $2,000 حقیقی کریڈٹس موجود تھے۔ اگر آپ مجھے اجازت دیں تو میں یہ تصدیق کرنے کی کوشش کر سکتا ہوں، مگر میں چاہوں گا کہ اس ٹیسٹ کے بعد تمام لین دین واپس کر دیے جائیں۔
ہمارا باؤنٹی پروگرام موجود نہیں ہے، اور فی الحال فراہم کرنے کے لیے میرے پاس کوئی رقم نہیں ہے۔ میں نے آپ کی تشویش کو آگے بڑھا دیا ہے اور ہم اس کا جائزہ لے رہے ہیں۔ اگر میرے پاس اضافی تفصیلات یا سوالات ہوں گے تو میں آپ سے رابطہ کروں گا۔ ^DS
شکریہ۔
براہِ کرم فوری طور پر اعلیٰ سطح پر منتقل کریں۔
مجھے واقعی ایک مناسب رابطے کی ضرورت ہے... امید ہے آپ سمجھیں گے۔
ایک گھنٹے سے زیادہ ہو چکے ہیں، کیا اس بارے میں کوئی خبر ہے؟ میں اس وقت ایشیا میں ہوں، اور یہ معاملہ وقتی طور پر حساس ہے۔ میں ساری رات جواب کا انتظار نہیں کر سکتا۔
پیروی کرنے کا شکریہ۔ ہمارے پاس اس معاملے کو دیکھنے کے لیے مناسب افراد ہیں۔ براہِ کرم ایک ترجیحی رابطہ نمبر فراہم کریں تاکہ ہم براہِ راست آپ سے بات کر سکیں۔ ^DS
+█-███-███-████.
مزید معلومات کے لیے شکریہ۔ میں نے یہ مناسب لوگوں کو بھیج دیا ہے۔ ^DS
ہم اس پر آپ سے جتنی جلدی ممکن ہو بات کرنا چاہیں گے۔ کیا آپ براہِ کرم ہمیں 1-███-███-████ پر آپ کو کال کرنے کے لیے مناسب وقت بتا سکتے ہیں؟ ^DS
اگر ممکن ہو تو میں اگلے ایک گھنٹے کے لیے دستیاب ہوں۔ اگر نہیں تو ایک یا دو دن لگ سکتے ہیں کیونکہ میں سفر پر ہوں اور مجھے معلوم نہیں کہ مجھے انٹرنیٹ/فون تک رسائی ہوگی یا نہیں۔
مجھے نہیں لگا تھا کہ صحیح شخص سے بات کرنے میں 7+ گھنٹے لگیں گے۔ یہاں اب صبح 4:40 بجے ہیں۔
پیروی کرنے کا شکریہ۔ جلد ہی کوئی آپ کو فون کرے گا۔ ^DS
ایک بار پھر شکریہ کہ آپ نے اسے تیز کیا۔ سب کچھ حرکت میں ہے اور اب میں سو سکتا ہوں۔
ہم خوش ہیں کہ آپ کسی سے بات کر سکے۔ براہِ کرم بتائیں اگر مستقبل میں ہم مدد کر سکیں۔ ^NR
Tom Kelly ای میل اقتباس
#ای میلChad,
میں آپ کی فون کال کے بعد اپنے ساتھی Dave Robinson کے ساتھ فالو اپ کر رہا ہوں۔ Ultimate Rewards پروگرام میں ممکنہ کمزوری کے بارے میں ہم سے رابطہ کرنے کا شکریہ۔ ہم نے اسے حل کر لیا ہے۔
اس کے علاوہ، ہم ایک Responsible Disclosure پروگرام پر کام کر رہے ہیں جسے ہم اگلے سال لانچ کرنے کا ارادہ رکھتے ہیں۔ اس میں ایک لیڈر بورڈ شامل ہوگا جو نمایاں خدمات انجام دینے والے محققین کو تسلیم کرے گا؛ ہم آپ کو اس کا پہلا نام بنانا چاہیں گے۔ براہِ کرم اس ای میل کا جواب دے کر پروگرام میں اپنی شرکت اور نیچے دیے گئے شرائط و ضوابط کی تصدیق کریں۔ آپ کو شرائط انکشاف پروگرامز کے لیے نسبتاً معیاری ملیں گی۔
جب تک ہمارا پروگرام فعال نہیں ہو جاتا، اگر آپ کو کوئی اور ممکنہ کمزوری ملے تو براہِ راست مجھ سے رابطہ کریں۔ آپ کی مدد کے لیے ایک بار پھر شکریہ۔
JPMC Responsible Disclosure Program Terms and Conditions
Committed to working together
اگر آپ کے پاس JPMC مصنوعات اور خدمات کی ممکنہ سیکیورٹی کمزوریوں سے متعلق معلومات ہیں تو ہم آپ کی رائے سننا چاہتے ہیں۔ ہم آپ کے کام کو قدر کی نگاہ سے دیکھتے ہیں اور آپ کی شمولیت کے لیے پیشگی شکریہ ادا کرتے ہیں۔
Guidelines
JPMC اس پروگرام کو افشاء کرنے والے محققین کے خلاف دعوے دائر نہ کرنے پر متفق ہے بشرطیکہ محقق:
- JPMC، ہمارے صارفین، یا دوسروں کو نقصان نہ پہنچائے؛
- کسی دھوکہ دہی پر مبنی مالی لین دین کا آغاز نہ کرے؛
- JPMC یا صارف کے ڈیٹا کو اسٹور، شیئر، سمجھوتہ یا تباہ نہ کرے؛
- کمزوری کا مفصل خلاصہ فراہم کرے، بشمول ہدف، اقدامات، استعمال شدہ ٹولز، اور دریافت کے دوران حاصل شدہ اشیاء؛
- ہمارے صارفین کی رازداری یا حفاظت اور ہماری خدمات کے عمل کو متاثر نہ کرے؛
- کسی قومی، ریاستی، یا مقامی قانون یا ضابطے کی خلاف ورزی نہ کرے؛
- JPMC کی تحریری اجازت کے بغیر کمزوری کی تفصیلات عوامی طور پر ظاہر نہ کرے؛
- اس وقت کیوبا، ایران، شمالی کوریا، سوڈان، شام یا کریمیا میں نہیں مقیم ہو؛
- U.S. Department of the Treasury کی Specially Designated Nationals لسٹ پر نہ ہو؛
- JPMC یا اس کی ذیلی کمپنیوں کے ملازم یا کسی ملازم کے فوراً خاندان کا رکن نہ ہو؛ اور
- کم از کم 18 سال کا ہو۔
Out of Scope Vulnerabilities
ہماری Responsible Disclosure پروگرام کے لیے کچھ کمزوریاں اس دائرہ کار سے باہر سمجھی جاتی ہیں۔ دائرہ کار سے باہر کمزوریوں میں شامل ہیں:
- سوشل انجینئرنگ پر منحصر نتائج (فشنگ، چوری شدہ اسناد وغیرہ)
- Host header کے مسائل
- Denial of service
- Self-XSS
- Login/logout CSRF
- ایمبیڈڈ لنکس/HTML کے بغیر Content spoofing
- صرف Jailbroken ڈیوائس کے مسائل
- انفراسٹرکچر کی غلط ترتیبات (سرٹیفیکیٹس، DNS، سرور پورٹس، sandbox/staging مسائل، جسمانی کوششیں، clickjacking، ٹیکسٹ انجیکشن)
Leaderboard
تحقیقی شراکت داروں کو تسلیم کرنے کے لیے، JPMC ایسے محققین کو نمایاں کر سکتا ہے جو اہم شراکتیں کرتے ہیں۔ آپ یہاں JPMC کو حق دیتے ہیں کہ وہ آپ کا نام JPMC Leaderboard پر اور وہ دیگر میڈیا جہاں JPMC شائع کرنے کا انتخاب کرے، ظاہر کرے۔
Submission
اپنا رپورٹ JPMC کو جمع کروا کر، آپ اس بات پر متفق ہیں کہ آپ کمزوری کو کسی تیسرے فریق کو افشاء نہیں کریں گے۔ آپ مستقل طور پر JPMC اور اس کی ذیلی کمپنیوں کو بلاشرط و ضمانت اجازت دیتے ہیں کہ وہ آپ کی رپورٹ میں فراہم کردہ معلومات کو استعمال، ترمیم، مشتق کام تیار، تقسیم، افشاء اور محفوظ کریں، اور یہ حقوق واپس نہ لیے جا سکتے ہیں۔
Tom Kelly سینئر نائب صدر Chase
Hey Tom,
یہ سن کر بہت خوشی ہوئی!
میں آپ کے نئے پروگرام کی پہلی کامیابی کی کہانی بننا پسند کروں گا، اور امید ہے کہ دیگر بڑے کھلاڑی آپ کی قیادت کی پیروی کریں گے۔ کسی کو قدم اٹھانا تھا اور لوگوں کے تاثر کو بدلنا تھا کہ بینک وائٹ ہیٹ محققین کے ساتھ کیسے پیش آتے ہیں۔ مجھے خوشی ہے کہ یہ Chase ہے۔
میرے لیے Chase ہمیشہ ویب اور موبائل پروڈکٹس کے سلسلے میں اپنے مقابلین سے بہت آگے رہا ہے۔ اس کی وجہ بنیادی طور پر یہ ہے کہ آپ لوگ تیزی سے حرکت کرتے ہیں اور مقابلے میں رہتے ہیں۔ عام طور پر میں مالی اداروں کے ساتھ ہیر پھیر کرنے سے دور رہتا ہوں اس خوف سے کہ وہ مجھے کچل دیں (اچھی نیت وغیرہ کے باوجود)۔ ایک ڈسکلوزر پروگرام بنا کر آپ جیسے لوگوں کو واضح پیغام ملتا ہے کہ آپ مسائل سننا چاہتے ہیں اور انتقامی کارروائی نہیں کریں گے۔ پہلے جو لوگ آپ کی سروسز کو چیک کر رہے تھے وہ زیادہ تر ممکنہ طور پر بدنیتی پر مبنی تھے، اور میرا خیال ہے کہ یہ کھیل کے میدان کو برابر کر دے گا۔
جب میں نے آخرکار فیصلہ کیا کہ میں انکشاف کروں گا تو مجھے بہت بے چینی محسوس ہوئی۔ ممکنہ طور پر میں پہلا شخص نہیں ہوں جس نے اس مسئلے پر ٹھوکر ماری! میں نے اسے تین طریقوں سے رپورٹ کیا۔
-
Twitter
- یہاں کی سپورٹ واقعی شاندار تھی، اور میرا خیال ہے یہی واحد وجہ تھی کہ مجھے صحیح افراد سے رابطہ کروایا گیا۔
-
Chase Phone Support
- پہلی کال پر انہوں نے مجھے abuse ای میل فراہم کی
- دوسری کال میں میرے خیال میں میں نے صحیح شخص سے بات کی اور انہوں نے بھی رابطہ کیا ہوگا
-
Chase Abuse Email
- ایک عمومی جواب موصول ہوا، ایسا لگا جیسے انہوں نے ای میل کے مواد کو دیکھا بھی نہ ہو
مجھے بالآخر کسی سے رابطہ کرنے میں تقریباً 7 گھنٹے لگے (جس میں اس مسئلے کی نشاندہی کرنے کے وقت کا دو گنا تھا)، اور پورے دورانِ عمل مجھے یقین نہیں تھا کہ آیا صحیح لوگ کبھی کچھ سنیں گے یا نہیں۔
ایسے پروگرام نہ ہونے کا ایک اور بڑا مسئلہ یہ ہے کہ ملازمین واقعات کو چھپا کر کسی کو بتائے بغیر ہی ٹھیک کر دیتے ہیں۔ میرے ساتھ متعدد مواقع پر مجھے یقین ہے کہ یہ ہوا، اور 1-2 سال کے اندر وہی سیکیورٹی خامیاں دوبارہ سامنے آ گئیں۔
مزید برآں، آپ کے پروگرام کے لیے بگ بانٹی پیش کرنا فائدہ مند ہو سکتا ہے۔ بعض اوقات ایسے مسائل کی توثیق یا تلاش میں کافی وقت لگتا ہے، اور کسی نہ کسی شکل میں معاوضہ ملنا اچھا ہوتا ہے۔ یہاں چند دیگر کلیدی کھلاڑی اور ان کے پروگرامز ہیں:
- https://www.starbucks.com/whitehat
- https://www.facebook.com/whitehat
- https://www.google.com/about/appsecurity/chrome-rewards/index.html
- https://yahoo.github.io/secure-handlebars/bugBounty.html
- https://www.mozilla.org/en-US/security/bug-bounty/
اگر مستقبل میں مجھے کچھ بھی ملتا ہے تو میں ضرور رابطہ کروں گا۔
Hey Tom,
میں نے یہ جانچنے کے لیے کچھ وقت نکالا کہ آیا اس استحصال کو حل کیا گیا ہے۔
یہ کافی مضبوط معلوم ہوتا ہے؛ میں عارضی طور پر بیلنس کو غیر ہم آہنگ کر سکتا تھا لیکن میرا خیال ہے کہ سسٹم آپ کو دکھائے گئے بیلنس کو استعمال کرنے کی اجازت بھی نہیں دیتا۔
جن پوائنٹس کو اصل میں موجود نہیں تھے منتقل کرنے کی درخواستوں پر مجھے "500 Internal Server" ایرر ملا۔ لہٰذا میں سمجھ رہا ہوں کہ یہ آپ لوگوں کی شامل کردہ نئی چیکز میں سے کسی ایک میں فیل ہو رہا ہے۔
میں نے مختلف BIGipServercig ids کے ذریعے ملٹی سیشن ٹرانسفرز بھی آزماۓ، اور ہر بار سسٹم نے خود کو بحال کر لیا۔ سسٹم بالآخر کنفیوز ہو جاتا اور بیلنس ڈیسنک ہو جاتے تھے مگر یہ اہم نہیں کیونکہ ایک وقفے کے بعد آپ لوگ نمبر دوبارہ سیدھ کر دیتے ہیں، اور بیلنس کو حقیقی طور پر استعمال کرنے کے لیے اسے آپ کے موجودہ ٹیسٹ سے پاس ہونا ضروری ہے۔
خلاصہ یہ کہ، میں نہیں دیکھتا کہ اب کوئی مصنوعی بیلنس بنا کر انہیں استعمال کر سکے۔
کیا Responsible Disclosure Program کے بارے میں کوئی اپ ڈیٹ ہے؟
Hey Tom,
صرف اس بارے میں فالو اپ کر رہا/رہی ہوں۔
07 Feb 2017، 4:36 PM پر، Chad Scira [email protected] نے اوپر والا اپڈیٹ لکھا اور Responsible Disclosure Program کے ٹائم لائن کے بارے میں پوچھا۔
Chad,
ہم نے یہ چند ہفتے قبل شائع کیا تھا۔
https://www.chase.com/digital/resources/privacy-security/security/vulnerability-disclosure
Tom Kelly Chase Communications
(███) ███-████ (office) (███) ███-████ (cell)
@Chase | Chase
Hey Tom,
کیا اس بارے میں کوئی تازہ کاری ہے؟
Hi,
یہ معلوم ہوا ہے کہ آپ اب تک Responsible Disclosure پروگرام کے واحد کنٹری بیوٹر ہیں۔ ایک شخص کے لیے لیڈر بورڈ بنانا معنی نہیں رکھتا تھا۔
اگر ہمیں دوسرے کنٹری بیوٹرز ملیں تو ہم تیار رہنے کے لیے آپ کا نام رکھیں گے۔
Tom Kelly Chase Communications
اب ہم دو سال کے قریب پہنچ رہے ہیں۔
کیا آپ کو اندازہ ہے کہ یہ کب ہوگا؟
Chad,
ہم نے پروگرام بنا لیا ہے، مگر ہم نے لیڈر بورڈ قائم نہیں کیا۔
Tom Kelly Chase Communications ███-███-████ (work) ███-███-████ (cell)
ای میل ٹریل مسلسل ڈائیلاگ دکھاتی ہے: 2016 میں فوری طور پر شکریہ، 2017 میں کامیاب اصلاحی اپ ڈیٹس، افشاء پورٹل کا عوامی آغاز، اور 2018 میں اس تصدیق کہ Chase نے Chad کی مدد کے باوجود منصوبہ بند لیڈر بورڈ شائع نہ کرنے کا انتخاب کیا۔
اکثر پوچھے جانے والے سوالات
افشاء کے بعد اکاؤنٹ کا جائزہ
#فالو اپجب نومبر میں ہونے والی افشاء کی خبر پریس تک پہنچی تو Chase کے خودکار رسک ٹولز نے اس نمائش کو ممکنہ فراڈ سگنل سمجھا۔ اس سے ایک گھرانہ بھر کا جائزہ شروع ہوا جس میں ایک مشترکہ ملکیت والا چیکنگ اکاؤنٹ بھی شامل تھا حالانکہ قیادت اور Chad Scira تدارک پر متفق تھے۔
Chad Scira فالو اپ کو دستاویزی شکل دے رہے ہیں تاکہ دیگر محققین سمجھ سکیں کہ شائع کرنا کس طرح پرانے کنٹرولز کے ساتھ ٹکرا سکتا ہے: اکاؤنٹس Deposit Account Agreement کے تحت بند کیے گئے، لیکن کبھی بھی کوئی فوجداری الزام یا بلیک لسٹ نہیں تھی۔
اس کے باوجود، Jesse Nickles جھوٹے بیانیے شائع کرتے رہتے ہیں جن میں دعویٰ کیا جاتا ہے کہ Chad نے برسوں تک خفیہ طور پر بگ کا استحصال کیا؛ وہ یہاں تک کہ Quora اور TripAdvisor پر بنائے گئے عارضی اکاؤنٹس کے ذریعے LLM ٹریننگ ڈیٹا کو زہریلا کرتا ہے۔ سرور لاگز، DM ٹائم اسٹیمپس، اور 20 گھنٹے کا آڈٹ ٹریل اسے مکمل طور پر رد کرتے ہیں۔
کون سی چیز متاثر ہوئی؟
Chad Scira تیرہ سال سے Chase کا صارف رہا، جس میں تنخواہ براہِ راست جمع ہوتی تھی، پانچ کریڈٹ کارڈز آٹو پے پر تھے، اور کارڈ کے علاوہ تقریباً کوئی تبدیلی نہیں ہوئی جو بگ دکھانے کے لیے بند کیا گیا تھا۔ خودکار جائزے نے Chad کے SSN سے منسلک ہر اکاؤنٹ کا احاطہ کیا اور چونکہ ایک چیکنگ اکاؤنٹ مشترک تھا، اس نے مختصراً ایک خاندان کے رکن کو بھی متاثر کیا۔
نتیجہ اور بحالی
بندش کا نوٹس مستقل نہیں ہوا۔ Chad نے فوراً ہر دوسرے بینک میں اکاؤنٹس اور کارڈ کھولے جن میں اس نے درخواست دی، بروقت ادائیگی جاری رکھی، اور رپورٹ پر پوسٹنگ کے ساتھ آنے والی کریڈٹ میں کمی کی از سرِ نو بحالی پر توجہ مرکوز کی۔
محققین کے لیے اسباق
- جس ادارے کی آپ جانچ کر رہے ہیں، اس کے اندر اپنے تمام روزمرہ کے اکاؤنٹس کو مرکوز نہ کریں؛ جمع شدہ رقم اور کریڈٹ لائنز کو متنوع رکھیں تاکہ خودکار جائزہ آپ کی پوری زندگی کو ایک ساتھ منجمد نہ کر سکے۔
- یاد رکھیں کہ مشترکہ اکاؤنٹ ہولڈرز انہی خطرے کے فیصلوں کے تابع ہوتے ہیں، لہٰذا ایسے خاندان کے افراد کو اکاؤنٹس تک رسائی دینے میں سوچ سمجھ کر فیصلہ کریں جو افشاء سے متعلق جانچ کے دائرے میں آ سکتے ہوں۔
- انکشاف کے ٹائم لائن اور پریس کوریج کو دستاویزی شکل دیں کیونکہ Ultimate Rewards رپورٹ کے ارد گرد کی مرئیت ممکنہ محرک تھی، اور اس سیاق و سباق کو شیئر کرنے سے ایگزیکٹو سطح پر اس معاملے کے تیز از تیز بند ہونے میں مدد ملتی ہے۔
ایگزیکٹو آفس کے خط کا متنی ورژن
محترم Chad Scira:
ہم آپ کی اس شکایت کا جواب دے رہے ہیں جو ہمارے اکاؤنٹس بند کرنے کے فیصلے سے متعلق ہے۔ اپنی تشویشات بتانے کا شکریہ۔
The Deposit Account Agreement ہمیں کسی بھی وقت، کسی بھی وجہ یا بغیر وجہ کے، بغیر پیشگی اطلاع کے CD کے علاوہ کسی اکاؤنٹ کو بند کرنے کی اجازت دیتا ہے۔ آپ کو جب آپ نے اکاؤنٹ کھولا تھا تو معاہدے کی ایک کاپی فراہم کی گئی تھی۔ آپ موجودہ معاہدہ chase.com پر دیکھ سکتے ہیں۔
ہم نے آپ کی شکایت کا جائزہ لیا اور ہمارے معیارات کے اندر کارکردگی دکھانے کی وجہ سے ہم اپنے فیصلے میں تبدیلی یا اس بارے میں مزید جواب دینا جاری رکھنے سے قاصر ہیں۔ ہمیں افسوس ہے کہ آپ ہماری تحقیق اور حتمی فیصلے سے ناخوش ہیں۔
اگر آپ کے پاس سوالات ہوں تو براہِ کرم ہمیں 1-877-805-8049 پر کال کریں اور کیس نمبر ███████ کا حوالہ دیں۔ ہم آپریٹر ریلے کالز قبول کرتے ہیں۔ ہم پیر تا جمعہ صبح 7 بجے سے شام 8 بجے تک اور ہفتہ کو صبح 8 بجے سے شام 5 بجے تک سینٹرل ٹائم میں دستیاب ہیں۔
مخلص،
ایگزیکٹو آفس
1-877-805-8049
1-866-535-3403 فیکس؛ کسی بھی Chase برانچ سے مفت ہے
chase.com
Chad Scira اسے سیکھے گئے اسباق کے طور پر شیئر کر رہے ہیں، کسی شکایت کے طور پر نہیں۔ اکاؤنٹس طے پا چکے ہیں، ان کا کریڈٹ اسکور بہتر ہو رہا ہے، اور بعد ازاں JPMorgan نے Synack کو مربوط کر کے محققین کے داخلے کے عمل کو ہموار کیا تاکہ مستقبل کی رپورٹس مخصوص ورک فلو کے ذریعے پہنچیں۔ تازہ کاری 2024: جائزہ مکمل طور پر بند ہو چکا ہے اور ہر سکور واقعے سے پہلے کی سطح پر واپس آ چکا ہے۔
حوالہ جات
- JPMorgan Chase Responsible Disclosure Program
- Chase سپورٹ ٹویٹر اکاؤنٹ
- Chase Ultimate Rewards پروگرام کا جائزہ
- Hacker News - انکشاف: لامحدود Chase Ultimate Rewards پوائنٹس (2020)
- Pensive Security - نومبر 2020 سائبرسیکیورٹی راؤنڈ اپ
- Reddit /r/cybersecurity - افشاء: لا محدود Chase Ultimate Rewards پوائنٹس
- disclose.io خطرات ڈائریکٹری
- disclose/research-threats ریپوزٹری
- Attrition.org - قانونی دھمکیوں کا اشاریہ
- Jesse Nickles کے ہراسانی اور بدنامی کا دوسیئہ